Une attaque DDoS peut-elle vraiment voler vos données ? Le cas La Poste Mobile
Après une panne du site, le collectif NoName057(16) revendique le vol de données chez La Poste Mobile, mais Bouygues Telecom, son propriétaire, reste muet.
Par
Aurore Delmotte
En bref
- Le site de La Poste Mobile est resté inaccessible plusieurs heures le mercredi 21 octobre.
- Le groupe NoName057(16) revendique une attaque DDoS puis un vol de données de 25 000 clients.
- Bouygues Telecom dit « analyser la situation » et ne confirme ni ne dément.
- Un DDoS ne donne pas accès aux données : un vol supposerait une seconde intrusion.
Des services en ligne de La Poste Mobile sont devenus injoignables pendant plusieurs heures le mercredi 21 octobre, et un groupe de hackers prorusse en a revendiqué la responsabilité. Selon 01net, le site est redevenu accessible peu à peu un peu plus tard dans l’après-midi.
Une panne revendiquée dans la campagne #OpFrance
Le collectif NoName057(16) affirme avoir mené une attaque par déni de service distribué, dite DDoS, contre plusieurs services de l’opérateur : le site principal, l’espace client et le service d’activation des cartes SIM. Ce procédé consiste à saturer des serveurs pour les rendre inaccessibles.
Cette revendication s’inscrit dans la campagne #OpFrance, qui vise en France, depuis la mi-octobre, des sites publics, des sites liés au maritime et à la défense, selon 01net. Le collectif avait aussi revendiqué l’attaque DDoS ayant gêné le fonctionnement de La Poste et de La Banque Postale durant les fêtes de fin d’année 2025, en dépit de l’opération Eastwood conduite en juillet 2025 par Europol et Eurojust, qui visait une partie de son infrastructure.
Attention à l’ambiguïté du nom : La Poste Mobile dépend de Bouygues Telecom, pas du groupe La Poste. L’acquisition a été conclue en novembre 2024 et a placé quelque 2,4 millions de clients mobiles sous la bannière de l’opérateur.
Ce qui est revendiqué, montré et confirmé
Dans l’après-midi, le collectif a déclaré sur Telegram avoir récupéré les informations personnelles de ces 25 000 clients, indique le site spécialisé FrenchBreaches, cité par 01net. Le tableau ci-dessous distingue ce qui est affirmé de ce qui est constaté.
| Point | Ce qui est établi |
|---|---|
| Éléments publiés | Des copies d’écran censées montrer des pages d’espaces clients, où figurent noms, adresses, numéros de téléphone ainsi qu’un IBAN partiel |
| Valeur des images | D’après 01net, ces images ne démontrent ni une pénétration des systèmes de l’opérateur, ni la taille annoncée de la fuite ; elles pourraient provenir de quelques comptes individuels compromis. Aucun fichier susceptible de confirmer les 25 000 comptes évoqués n’a été diffusé |
| Bouygues Telecom | Côté équipes, on « analysent actuellement la situation » et l’on n’a « pas de commentaire à ce stade » |
Ainsi, l’opérateur n’avalise ni l’attaque ni la fuite de données, mais il ne les réfute pas non plus.
Un DDoS ne suffit pas à dérober des données
Les deux revendications relèvent de mécanismes distincts. Une attaque DDoS seule n’ouvre pas l’accès aux données des clients. Generation-NT précise qu’un vol supposerait une seconde intrusion, par une faille ou par la compromission de comptes.
Le groupe NoName057(16) s’est fait connaître par des attaques DDoS, pas par des exfiltrations de données : cette seconde revendication sort donc de ses habitudes. Generation-NT note qu’aucune preuve ne relie les deux événements, et que nombre d’observateurs y voient deux opérations séparées, dont l’une demeure à démontrer.
Les réflexes à adopter côté abonnés
Il est recommandé aux abonnés de se montrer particulièrement prudents devant tout message, appel ou SMS prétendant émaner de leur opérateur ou de leur banque, surtout lorsqu’on leur demande des informations personnelles ou bancaires. Generation-NT précise que, si la compromission se confirmait, ces données pourraient servir à des tentatives d’hameçonnage ciblées par email ou SMS, et à des appels frauduleux.
- se méfier de tout contact inhabituel se présentant au nom de l’opérateur ou d’une banque ;
- ne jamais transmettre d’informations personnelles ni de codes de sécurité après un contact non sollicité.
Photo : cottonbro studio / Pexels
